Vulnerabilities in apport and systemd-coredump, allowing extraction of user system password hashes

Qualys avastas kaks haavatavust apport (CVE-2025-5054) ja systemd-coredump (CVE-2025-4598) tööriistades, mis on mõeldud core-failide töötlemiseks, mis genereeritakse pärast protsesside ootamatut lõpetamist. Haavatavused võimaldavad pääseda juurde core-failidele, mis on salvestatud pärast suid-rakenduste või mõnede süsteemsete taustprotsesside ootamatut lõpetamist, mille mälu võib sisaldada vahemällu salvestatud mandaate või krüpteerimisvõtmeid. Utility apport kutsutakse automaatselt Ubuntu-s core-dump'ide salvestamiseks, samas kui systemd-coredump on kasutusel Red Hat Enterprise Linux 9+, Fedora ja paljude teiste Linuxi distributsioonide puhul.

Kuvati rünnetehnika, mille käigus loodud tingimustes viidi suid-rakenduse unix_chkpwd ootamatuks lõpetamiseks ja pääseti juurde core-failile, mis sisaldas seisundi dumpi avarii ajal. Salvestatud core-dumpis olid süsteemi kasutajate paroolide hashid, mis jäid ootamatult lõpetatud protsessi mällu pärast sisu laadimist /etc/shadow failist. Haavatavuste ärakasutamise võimalust demonstreeriti Ubuntu 24.04 ja Fedora 40/41 puhul, kuid arvatakse, et ka teised distributsioonid on sarnaste rünnakute suhtes vastuvõtlikud.

Mõlemad haavatavused on põhjustatud jooksva oleku ärakasutamise võimalusest, mis võimaldab vahetada ootamatult lõpetatud suid-protsessi teise protsessi vastu vahetult peale seda, kui tuum on algatavane avariiprosesside töötlemiseks, kuid enne, kui kasutaja ruumi käsitleja kontrollib protsessi parameetreid /proc/pid/files kaudu. Apport ja systemd-coredump kutsutakse üles järgmiselt: tuum, saades teavet protsessi lõpetamisest, kutsub välja käsitleja, mille on määranud failis /proc/sys/kernel/core_pattern, ja edastab sellele core-dump'i sisu sissevoolu kaudu.

Core-dumpi genereerimine ja käsitleja käivitamine ei toimu hetkega ja see aeg on piisav, et asendada lõpetatud suid-protsess tavalise kasutaja protsessiga. Juhul kui asendamine toimub, arvab käivitunud core-dumpide käitleja, et rike toimus mitte suid-protsessis, vaid tavalises kasutaja rakenduses, ja seega salvestab core-faili, millele pääseb ligi tavaline kasutaja, mitte ainult administraator.

Rünnak apport'ile hõlmab järgmisi samme:

• Loob uus protsess ja kutsub välja execve() funktsiooni suid-programmi käivitamiseks, nagu unix_chkpwd.
• Jätab piisavalt aega suid-protsessil konfidentsiaalsete andmete mälu laadimiseks (unix_chkpwd puhul eeldatakse, et laetakse kasutajate paroolide hashid failist /etc/shadow).
• Enne käsku lõpetamist saadetakse protsessile signaal SIGSEGV või SIGSYS ootamatuks lõpetamiseks.
• Reaktsioonina ootamatule lõpetamisele genereerib tuum core-dump'i ja käivitab apporti protsessi core-dump'i töötlemiseks kasutaja ruumis.
• Pärast apporti käivitamist, kuid enne korrapärase töö alustamist saadetakse signaal SIGKILL ning protsess asendatakse teisega, millel pole suid-lippu. Et vältida kontrolle apportis, luuakse uus protsess eri nimed ruumides (kasutaja, pid ja mount nimede ruumides).
• Apport ühendub unix-soketiga /run/apport.socket loodud uue protsessi mälumälu nimedega ja edastab failide deskriptorid, et pääseda juurde core-dump'ile.

Et uue protsessi jaoks vajalik identifikaator vastaks suid-protsessi identifikaatorile, peatatakse suid-protsess signaaliga SIGSTOP enne SIGSEGV signaali edastamist ja peatamise ajal kuvavad uued protsessid, kuni saavutatakse PID, mis on eelneva numbriga sarnane asendatavale suid-protsessile. Pärast PID numbrite nihutamist saadetakse suid-protsessile signaalid SIGSEGV ja SIGCONT, seejärel saadetakse SIGKILL ning uued protsessid käivituvad pidevalt, et saavutada sama PID, mis suid-protsessil.

Mis puutub systemd-coredump'i, siis rünnaku tegemine on lihtsam, kuna pole vajadust asendada suid-protsessi, vaid on piisav saavutada AT_UID ja AT_EUID vastavus. Teisest küljest on systemd-coredump kirjutatud C keeles ja käivitub piisavalt kiiresti, mis annab vähe aega asendamiseks, erinevalt apport'ist, mis on kirjutatud Pythonis ja laadib alguses erinevaid pyc-failide. Sarnaste probleemide lahendamiseks viiakse systemd-coredump'i kunstlik viivitus — suid-faili kutsumisel edastatakse väga suur hulga käsurea argumendid, mis tekitavad vajaliku viivituse, mis tekib /proc/pid/cmdline'i töötlemise ajal.

Haavatavuste analüüsi käigus tuvastasid uurijad samuti, et systemd-coredump ei näita \/proc\/sys\/kernel\/core_pattern'is "flag "%d"" seadistust, mis võimaldab ründajal põhjustada taustprotsesside kokkuvarisemise, mis töötavad root-õigustes ja käivitavad teisi protsesse, muutes kasutaja ID madalamatele õigustele, millega rünnak teostatakse. See võimalus võimaldab rünnata mitte ainult setuid-rakendusi, vaid ka protsesse nagu sshd-session (OpenSSH), sd-pam (systemd) ja cron, et saada neis mälus olevaid konfidentsiaalseid andmeid, nagu privaatvõtmed, paroolihäkked \/etc\/shadow-st, kanaria märgid kuhjas ja andmed adresseerimise ruumi (ASLR) randomiseerimise ületamiseks.

Pakettide värskenduste avaldamise jälgimine distsipliinides on võimalik lehekülgedelt: Debian, Ubuntu, RHEL, openSUSE, Fedora, Gentoo, Arch. Haavatavuste blokeerimise ajutiseks lahenduseks soovitatakse keelata core-äri jääkide salvestamine suid-programmide ja õiguste vähendamise protsesside jaoks, seadistades parameeter \/proc\/sys\/fs\/suid_dumpable väärtuseks 0. Probleemi täielikuks lahendamiseks on vajalik muudatused Linuxi tuumas, mis võimaldavad edastada infot kokkuvarisenud protsessi kohta pidfd-mekanismi kaudu (pidfd seondub konkreetsete protsessidega ja erinevalt pid-ist ei määrata teda uuesti).

Allikas: opennet.ru